☰

SSSD + 암호화된 /home, 더 이상 로그인 시 자동 마운트되지 않음

tag-icon • tag-icon ecryptfs pam
SSSD + 암호화된 /home, 더 이상 로그인 시 자동 마운트되지 않음

몇 개의 상자를 다음으로 바꿨습니다.SSSD, 이제 중앙 LDAP 서버에 대해 인증하고 오프라인일 때 자격 증명을 캐시합니다. 이것은 잘 작동하고 Ubuntu 패키지가 제대로 설치되었습니다.

하지만 이제 로그인하면 내 홈 디렉토리가 더 이상 자동 해독/마운트되지 않습니다. GDM을 종료하고 콘솔에 로그인하면 다음 오류가 표시됩니다.

keyctl_seach Required key not avaliable

제안된 명령을 실행하면(ecryptfs-마운트-개인) 내 비밀번호를 알려주면 내 홈 디렉토리가 제대로 잠금 해제됩니다.

내 비밀번호가 더 이상 암호화 키를 자동으로 잠금 해제하지 않도록 로그인 프로세스가 어떻게 변경되었는지 이해하려고 노력하고 있습니다. PAM 문제인 것 같아서 내 내용을 포함했습니다./etc/pam.d/common-auth아래 파일.

비밀번호가 SSSD로 전달된 다음 키 잠금을 해제하기 위해 일반적으로 수행되는 모든 단계를 건너뛰는 것으로 가정합니다. 누군가 그것이 어떻게 일반적으로 수행되는지 설명해 줄 수 있습니까?

auth    [success=3 default=ignore]  pam_sss.so
auth    [success=2 default=ignore]  pam_unix.so nullok_secure try_first_pass
auth    [success=1 default=ignore]  pam_winbind.so krb5_auth krb5_ccache_type=FILE cached_login try_first_pass

auth    requisite           pam_deny.so
auth    required            pam_permit.so
auth    optional            pam_ecryptfs.so unwrap

업데이트 1:

사용자가 로그인할 때 auth.log에서 이 오류를 보고합니다.

login[14202]: NULL passphrase; aborting

Google은 pam_ecryptfs.so 소스에서만 이 오류를 발견하고 수신된 PAM_AUTHTOK이 NULL일 때 트리거됩니다.

rc = pam_get_item(pamh, PAM_AUTHTOK, (const void **)&passphrase);
[...]
if (passphrase == NULL) {
    [...]
    syslog(LOG_ERR, "NULL passphrase; aborting\n");
    [...]
}

따라서 최소한 pam_ecryptfs.so가 호출되고 있습니다(즉, SSSD가 있기 때문에 건너뛰는 것이 아닙니다).그런데 왜 NULL 암호 문구가 표시되나요?

업데이트 2:

이제 저는 PAM에 대해 더 많이 알게 되었고, 제 글의 사본으로 게시물을 업데이트했습니다.공통 인증파일입니다. 로그인 시 사용되는 파일이기 때문입니다.공통 비밀번호)

답변1

답은 문서에 있다는 것이 밝혀졌습니다! 먼저 문제가 무엇인지 파악한 다음 다시 설정의 각 요소를 확인해야 했습니다.

http://manpages.ubuntu.com/manpages/natty/man8/pam_sss.8.html

옵션 추가 "앞으로 패스"를 pam_sss.so에 전달하면 SSSD 모듈에 입력된 암호를 스택에 넣어 다른 모듈(예: pam_ecryptfs.so)이 해당 정보를 사용할 수 있도록 지시합니다.

따라서 내 ecryptfs + SSSD 활성화 /etc/pam.d/common-auth 파일은 다음과 같습니다.

auth    [success=3 default=ignore]  pam_sss.so forward_pass
auth    [success=2 default=ignore]  pam_unix.so nullok_secure try_first_pass
auth    [success=1 default=ignore]  pam_winbind.so krb5_auth krb5_ccache_type=FILE cached_login try_first_pass

auth    requisite   pam_deny.so
auth    required    pam_permit.so
auth    optional    pam_ecryptfs.so unwrap

메모:pam_ecryptfs.so 줄 끝에 "debug"라는 단어가 있으면 문제가 발생합니다!

저는 오늘 PAM, ecryptfs 및 gnome-keyring에 대해 확실히 많은 것을 배웠습니다! 이것이 미래에 사람들에게 도움이 되기를 바랍니다. 그리고 기본 설정으로 추가되도록 기능 요청을 제출할 수도 있습니다.

관련 정보